Insteon Hub (modelo 2245-222) con firmware versión 1013 tiene una vulnerabilidad de carga de archivos sin restricciones (CWE-434) en su servidor HTTP. Un atacante puede subir un binario MPFS modificado a través del formulario '/mpfsupload' para acceder a recursos ocultos y luego cargar imágenes de firmware sin firmar mediante una petición POST a 'firmware.htm'.
El impacto es crítico: CVSS 9.0 y severidad CRITICAL según GitHub, ya que permite comprometer el dispositivo con firmware malicioso. Sin embargo, Shodan no tiene hosts indexados con este CVE, lo que sugiere que la exposición real en internet es mínima o nula actualmente.
| CVE | CVE-2018-3832 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.0 / 10 |
| EPSS | 1.7% en 30 días (percentil 76) |
| CWE | CWE-434 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
insteon/hub_2245-222insteon/hub_2245-222_firmware
Técnica MITRE ATT&CK
T1105 – Ingress Tool Transfer
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.